odmin@opslog: ~/blog
← cd ..
odmin@opslog:~/blog$ cat routeros-7-25.md

Выпущена MikroTik RouterOS 7.25

22 октября 2026 года вышла MikroTik RouterOS 7.25. Крупное обновление добавляет защитные механизмы для мостов, интерфейсы XFRM для IPsec, новые возможности PTP и SNMP, улучшает контейнеры, маршрутизацию и Wi-Fi. Также исправлены многочисленные ошибки оборудования и интерфейсов управления.

Ниже — сгруппированный обзор изменений. Полный список приведён в официальном changelog MikroTik.

Что учесть перед обновлением

  • Минимальная поддерживаемая версия WinBox — 4.3.
  • Обновление прошивки PoE для устройств с поддержкой 802.3at и 802.3bt вызовет кратковременное отключение питания на выходных PoE-портах.
  • В IGMP параметр last-member-interval переименован в last-member-query-interval, а в 802.1X reauth-timeout — в reauth-period.
  • Для включения swap теперь требуется разрешение контейнеров в device-mode.
  • Тип ключа SSH-сервера по умолчанию изменён на Ed25519.
  • Из отображаемой версии RouterOS убрана метка канала обновлений.

Безопасность и управление доступом

  • Для мостов добавлены Dynamic ARP Inspection и IP Source Guard.
  • Системные исправления стабильности включают CVE-2026-31431 и CVE-2026-67280. Подробности этих уязвимостей в предоставленном списке изменений не раскрыты.
  • SSH-клиент получил проверку ключа сервера. Добавлены показ отпечатка ключа маршрутизатора, предупреждения о слабых RSA-ключах и идентификаторы соединений в журнале. Вывод SSH-сервера ограничивается размером окна клиента.
  • В SNMPv3 добавлена аутентификация SHA-2, а также блокировка OID и журналирование заблокированных обращений. Удалён OID интерфейса, который не должен был быть доступен.
  • Исправлена проверка сертификата почтового сервера; связанные ошибки теперь выводятся в журнал.
  • В DHCPv4-клиенте игнорируются пакеты FORCERENEW, не адресованные клиенту одноадресно.
  • В IPv6 игнорируются Router Advertisement на интерфейсах, не входящих в список разрешённых для их приёма.
  • В веб-сервере устранена утечка памяти при разборе заголовков аутентификации и улучшен разбор URI. В HTTPS-журнал добавлены IP-адрес удалённого клиента и домен.
  • Исправлено удаление неактивных REST API-сессий — ошибка появилась в 7.21.

Мосты, MLAG и коммутаторы

  • Для MLAG добавлены mlag-lacp-fallback и mlag-init-delay.
  • Исправлены ложная ошибка «already added as bridge port», отсутствие передачи трафика портами моста и зависание MLAG-соседа в отключённом состоянии после изменения конфигурации.
  • Исправлены обработка VRRP MAC-адресов в MLAG и синхронизация FDB при добавлении VLAN. MVRP теперь работает с двойными MLAG bond-интерфейсами.
  • Устранено отбрасывание фрагментированного IPv6-трафика механизмом DHCPv6 snooping, появившееся в 7.23. Сообщения DHCP snooping стали информативнее.
  • Добавлено предупреждение о VLAN-записях при отключённом vlan-filtering.
  • Для ACL на Marvell Prestera добавлены счётчики пакетов и байтов.
  • Исправлены снижение пропускной способности slow path на CRS304, появившееся в 7.22, и зацикливание VLAN-трафика в MLAG на CRS8xx.
  • В L3 hardware offload исправлены маршрутизация IPv6 link-local и стабильность при использовании IPv4-mapped IPv6-адресов. Оптимизирована аппаратная обработка ECMP nexthop.
  • Исправлены проблемы PFC и буферов без потерь, появившиеся в 7.23.

Маршрутизация и multicast

  • В BGP добавлен параметр always-compare-med. Исправлены unnumbered-соединения внутри VRF, а исходящие маршруты EVPN теперь содержат номер VNI.
  • В журнал BGP добавлены неудачные попытки соединения, имена интерфейсов и VRF.
  • EVPN публикует маршруты MAC-IP (RT-2) для соседей.
  • В OSPF исправлен приём трафика DR/BDR при нескольких экземплярах и повышена стабильность при потере соседа.
  • PIM получил поддержку MLD. Исправлены PIM-SM для IPv6, дублирующиеся параметры и конфигурация интерфейсов благодаря разделению PIM и GMP.
  • Улучшена стабильность при изменении параметров IGMP Proxy.
  • Ускорена обработка статических маршрутов.
  • В фильтрах маршрутизации исправлены сопоставление пустого атрибута community через any-regexp и операции удаления, фильтрации и изменения со списками community, содержащими только регулярные выражения.
  • TFTP получил поддержку VRF. Исправлена недоступность IP-сервисов после отключения и повторного включения их VRF.
  • DetNet использует один случайный исходный порт.

DHCP, IPv6, DNS и VLAN

  • DHCPv4-сервер получил ipv6-only-preferred для работы с опцией 108. Параметры опции 82 показываются также в ASCII, а не только в шестнадцатеричном виде.
  • В DHCPv6-клиент добавлена опция 39 с именем хоста. Исправлена обработка адресов после изменения prefix-hint и удалён дублирующийся параметр dhcp-options.
  • DHCPv6-сервер получил поддержку опции 39 (FQDN) и add-dns-entries. Исправлена отправка reconfigure клиентам за relay.
  • DHCPv6 relay использует исходный MAC-адрес пакета для опции 79, если клиент и relay находятся в одном канальном сегменте.
  • Исправлены освобождение пулов делегирования префиксов DHCPv6, потеря адресов из пула после перезагрузки и отсутствие IPv6 link-local на некоторых интерфейсах при загруженной системе во время старта.
  • Исправлен DNS-таймер в Router Advertisement и разрешение доменных имён с точкой в конце.
  • Ethernet-интерфейсы с MAC-адресом получили параметр arp-accept.
  • VLAN-интерфейсы получили forced-mac-address и предупреждение при создании на slave-интерфейсе.
  • В CEF-журналирование firewall добавлены поля, связанные с NAT.
  • Исправлено падение ядра при отключении Traffic Flow на загруженной системе.

VPN и IPsec

  • В IPsec добавлена поддержка интерфейсов XFRM.
  • Исправлены установка IKEv1-туннелей с установленным commit bit, работа IKEv2 EAP-TTLS-клиента с некорректным хранилищем доверия — регрессия 7.21 — и туннели после переноса старых настроек QKD.
  • Исправлена обработка IPsec policy и SA после переноса на netlink, а также возможное падение при обработке IPsec на устройствах Qualcomm.
  • В OpenVPN повышена стабильность UDP-режима при заполненной очереди передачи.
  • WireGuard получил client-mtu, обращение к соседу по имени и возможность сбросить client-listen-port.
  • Импорт WireGuard поддерживает комментарии и учитывает MTU из конфигурации. Исправлен неработающий после импорта сосед без адреса endpoint.
  • Пустые private-key и preshared-key трактуются как отсутствие ключа. Добавлены предупреждения о пересечении allowed-address у разных соседей.
  • Счётчики RX/TX WireGuard сохраняются при отключении и включении соседа, сообщения об ошибках при добавлении соседа стали понятнее.
  • В Back To Home добавлены клиентские DNS и allowed IPs по умолчанию, возобновляемая загрузка файлов и проверка свободного места. Исправлены включение общего доступа через меню файлов WinBox и зависание при его отключении; ошибки загрузки возвращаются в JSON.

Контейнеры и приложения

  • Для приложений добавлена переменная networkRouterIP. Привилегированный режим можно включать отдельно для каждого сервиса в YAML.
  • Исправлено зависание приложений CHR в состоянии starting на медленных устройствах. При невозможности определить значение переменной показывается ошибка.
  • Обновлены переменные окружения приложения docker-with-komodo.
  • Добавлена комбинация Ctrl-] для выхода из зависшей оболочки контейнера.
  • Исправлены обработка интерфейсов контейнеров на CHR и оставшийся работающим veth после перезапуска остановленного контейнера.

Wi-Fi и CAPsMAN

  • Добавлены Fast Transition для MLD-устройств, настройки interworking, AAA и steering в конфигурации сети, а также параметр stream-port для потоковой передачи данных сниффера.
  • При обнаружении радара выполняется переключение канала вместо отключения клиентов.
  • Улучшено журналирование steering, каналов, MLD-соединений и SSID. В таблице регистраций показываются использование MFP и идентификатор пользователя EAP.
  • Исправлены повторный выбор канала на wifi-qcom-be и wifi-mediatek, сканирование точек с полосой 320 МГц, тип interworking-сети и отображение диапазона.
  • Исправлены смена типа MLD-соединения и SA Query в режиме station, статистика MLO по отдельным соединениям и её обновление при переключении MLD, а также SAE с неверным кэшированным PMK.
  • В CAPsMAN исправлены работа с mangle-маркировкой при шифрованных каналах данных и обработка трафика после отключения интерфейса. При обновлении CAP сохраняется пакет Dude, но не branding. Освобождённые association ID используются повторно.
  • В CAPsMAN добавлен hw-protection-threshold и исправлено отображение last-ip в обратном порядке.
  • В wifi-mediatek исправлены диапазон 4.9 ГГц и запуск точки 5 ГГц после перенастройки A42, роуминг между точками одной MLO-группы; улучшено повторное подключение MLO-клиентов.
  • В wifi-qcom исправлены отключения при Fast Transition и ошибки подключения station, улучшена доставка IP multicast.
  • В wifi-qcom-ac исправлена регрессия обработки MAC-адреса station и уменьшен размер пакета.
  • В wifi-qcom-be добавлены hw-protection-mode и distance для 802.11be. Исправлены отклонение Block Ack Request после смены канала и периодическая недоступность Wi-Fi после перезагрузки; повышена пропускная способность при большом числе клиентов.

Мониторинг и точное время

  • PTP получил фиксированные роли master/slave и режим transparent clock. Исправлено отбрасывание пакетов на мостах с IGMP snooping, добавлен vlan-id для портов.
  • В SNMP добавлены данные радио CAPsMAN, динамическое назначение engine ID, OID пулов IP, Netwatch, VRRP, MTU/L2MTU и счётчиков отбрасывания при передаче.
  • Добавлены таблицы OSPF MIB, включая ospfAdminStat и ospfRouterId, а в таблицу MNDP — IPv6-адрес и имя интерфейса.
  • Исправлены флаги возможностей LLDP-MIB и тайм-ауты SNMP-инструментов при аутентификации. При несовпадении семейства src-address с запросом выводится предупреждение.
  • В сниффере повышено временное разрешение меток пакетов.
  • В меню /system/resource/hardware показываются имя и расположение устройства.

LTE, модемы и IoT

  • Для подтверждения eSIM принимаются y и yes; добавлены отображение диапазона Huawei ME909s, недостающие сообщения об ошибках сети MBIM и sms-protocol=qmi для SMS.
  • Если роуминг запрещён, сеть роуминга не вызывает принудительную перенастройку.
  • Исправлены исчезновение LTE после FOTA, отсутствие MAC у пересозданных QMI-интерфейсов — регрессия 7.24.4 — и отсутствие уведомлений о новой прошивке некоторых модемов.
  • Исправлены передача трафика с несколькими APN на AT-модемах, обновление номера абонента после смены SIM и удаление зависимых APN-интерфейсов вместе с основным LTE-интерфейсом.
  • Повышена стабильность Quectel EP06-E MBIM и MBIM-модемов с eSIM. В режиме MTU auto учитывается IPv6 MTU сети; FG621 получает IPv6 через RA.
  • Для BG77/BG770 исправлены уведомления о прошивках и SINR, а для BG77 — имя порта и число каналов.
  • В IoT добавлены управление мощностью Bluetooth и меню GPIO в WinBox. Разрешён собственный радиоплан при региональной блокировке; на платах со встроенной антенной принудительно учитывается её фиксированное усиление. Исправлено измерение RTT в LoRaWAN Basic Station.

Оборудование, диски и PoE

  • Исправлены стабильность RB1100AHx2 под нагрузкой, ложный fast-path RX на неподключённом ether8 RB5009, пропадание линка и неожиданные перезагрузки RB5009.
  • Исправлены периодические потери пакетов hAP be3 Media, нестабильность PPPoE на Intel X710 и неработающий PPPoE через VLAN на Mellanox ConnectX-4.
  • Улучшены совместимость SFP на hAP ax S и hEX S (2025), стабильность x86 с Mellanox, запуск QSFP28 на CCR2216/CRS520 и QSFP-DD с NVIDIA DGX Spark и другими устройствами.
  • Повышена стабильность LCD при неизвестной скорости SFP. Для L41 добавлен тёмный режим LED, исправлено отсутствие LED-триггеров при установке R11e.
  • Для NVMe over TCP исправлены нулевые NGUID экспортируемых пространств имён. Повышена пропускная способность RAID5/6.
  • В PoE добавлено поле port-type, исправлены индикация аварии и перегрузка портов при питании блока питания от UPS. Для принудительно включённых портов снято ограничение класса запросов питания LLDP.
  • Для последовательных портов добавлен latency_timer FTDI. Входящие данные записываются в журнал и при отсутствии подключённых TCP-клиентов.
  • PPP получил сведения о портовом интерфейсе в настройках исходящего канала. Исправлена утечка пакетов при dial-on-demand для ppp-out.
  • Для Alpine CPU включено аппаратное ускорение GCM; улучшено журналирование SSL.

Консоль, службы и установка

  • Оператор доступа к массиву принимает массивы индексов или ключей. Глобальные переменные доступны через API.
  • Исправлены остановка фоновых заданий :execute as-string по прерыванию и исчерпание памяти при большом объёме их вывода.
  • Исправлены перенос комментариев в monitor, вывод firewall filter с src-address-list и dst-address-list, обработка флагов false фильтром where и дубли в /port/remote-access. Улучшены порядок экспорта и стабильность скриптов, запускаемых из Dude.
  • Исправлены выпуск ACME-сертификатов для wildcard-доменов и внутренние процессы обработки сертификатов.
  • В Fetch улучшены отображение отправки по SFTP и сообщение о совместном использовании keep-result и output. Для HTTP-запросов cookie jar больше не задаётся.
  • Исправлены политики скриптов кнопок и генерация конфигурации по умолчанию при поздней инициализации портов CRS8xx.
  • Dude корректно стартует при загрузке, если каталог данных находится на USB-диске. User Manager стабильнее импортирует базы.
  • В Netinstall добавлен branding-and-custom-packages для собственных NPK. Исправлены дубли RB2011 с SFP, комментарии сервера, наследование настроек первого интерфейса другими активными интерфейсами, переустановка RB850Gx2 и проверка памяти при загрузке на диск.
  • Система автоматически перезагружается при невозможности запустить процесс загрузки. Сокращён интервал управления вентиляторами на многоядерных устройствах.
  • Настройки health и перегрева показываются с учётом возможностей устройства. Для BE-плат добавлено предупреждение об отсутствующем пакете Wi-Fi; исправлена запись единиц MHz.
  • В CAKE исправлена опечатка значения cake-overhead-scheme.

WinBox и WebFig

  • В WinBox добавлены вкладка LLDP с фильтрацией соседей, вкладка Security и переработанные диалоги мостов и портов.
  • Добавлены просмотр Wi-Fi reg-info, настройка device-mode, поддержка IS-IS, индикаторы прогресса, Spectral Scan, сохранение контейнеров и MTU клиента WireGuard.
  • Можно перезапускать питание нескольких интерфейсов; Power Cycle действует только на выбранный интерфейс. Поддерживаются составные поля более чем с двумя значениями и несколькими разделителями.
  • Добавлены метки Wi-Fi-сетей и сведения о соседях WireGuard.
  • Исправлены поля bridge filter для IPv6, показ оптической мощности SFP 0.0 dBm, диапазон channel.reselect-interval, графики EC/IO и сигнала ppp-out.
  • Исправлены уровень l2 соседа IS-IS, единицы байтов Memory Limit в fq_codel, Min Prefix в правилах маршрутизации, узлы пути MPLS TE и диапазоны фильтров маршрутов.
  • Исправлены меню Skins групп пользователей, системная заметка при запуске, поля аутентификации и шифрования Wi-Fi, создание WireGuard-интерфейса через wg-import без файла конфигурации.
  • Улучшен статус Tools/Email, форматирование диска предлагается только поддерживаемым дискам. Убрано пустое поле статуса лицензии, send переименовано в transmit в Bandwidth Test, переработана таблица QoS коммутатора.
  • В меню SSH Keys и SSH Private Keys показываются предупреждения.
  • В WebFig добавлены универсальная таблица и поддержка union-групп, изменение ширины столбцов вложенных таблиц и выбор первого совпадения при наборе в комбобоксах. Обновлены стиль и ссылка Help на странице входа; левое меню скрывается только в QuickSet и Terminal.

Источник: официальный список изменений RouterOS.